域名监控预警系统是一套自动化监测工具, 也是风险预警的工具, 这套工具是面向域名资产的全生命周期的, 它的核心功能涵盖了注册状态的跟踪、到期续期提醒、DNS变更异常检测、品牌侵权抢注预警以及WHOIS信息变动的监控, 企业部署了系统之后, 可将域名丢失的风险、被抢注的风险、被劫持的风险前移, 将“事后补救”前移至“事前拦截”, 平均响应时间从数天缩短至分钟级。

一、核心功能模块

1. 在注册与到期监控方面, 会实时追踪域名的注册有效期, 当时间到达到期前30天这个节点的时候,会自动触发提醒灵音心图, 当时间到达到期前15天这个节点的时候,也会自动触发提醒域名监控预警系统, 当时间到达到期前7天这个节点的时候, 依然会自动触发提醒, 甚至当时间逼近到期前3天这个最后节点时, 还要再次自动发出提醒, 这样做就是为了防止因为工作人员忘记去办理续期手续, 从而导致域名被其他人进行抢注的情况发生。

2. DNS与解析异常检测, 这一机制能够起到重要作用。因为在Nameserver发生变更的时候, 或者在A记录或者CNAME遭到篡改的情况之下, 系统可以在5分钟之内生成告警。并且, 会把这一情况推送给管理员。其目的在于防范DNS劫持。同时, 也可以防范中间人攻击。

3. 关于侵权抢注的预警工作, 我们会依赖于那个品牌关键词库来进行操作。然后呢, 就是要持续地去监测那些采用了比如.com还有.cn以及.net这样一些主流后缀在内的新注册的域名。那么一旦发现, 存在那种跟品牌高度相似的抢注行为的话, 马上就要发出预警。

4. 关于使用WHOIS以及进行状态变动方面的监控, 其目的是为了去跟踪那些注册人发生变化的情况,或者是对clientHold这一种状态锁定的现象进行观察域名监控预警系统, 同时还能够追踪诸如转出来自于请求这样的操作行为, 通过这些方式来识别出可能存在的那种由内部人员导致的误操作事件, 或者是来自外部的那种恶意的转移行为。

二、选型关键维度

企业在进行比选的时候, 重点考察以下这五项内容。第1项是监控覆盖的广度, 也就是看它是否支持多TLD以及能否同时对数千个级别的域名进行批量监控。

第2项是预警响应的时效, 要求从异常发生之后到告警送达给相关人员的时间, 优先选择这个时间在5分钟以内或者等于5分钟的情况。第3项是集成的能力, 看看它是否支持多种通道进行推送, 比如邮件、短信、企业微信、钉钉以及Webhook等方式。

第4项是历史回溯的深度, 这指的是状态变更日志保留的时间长度, 需要达到30天以上。第5项是成本模型是怎么规定的, 通常是按照域名的数量来阶梯式地计费, 当每年管理的域名数量超过500个的时候, 要重点关注单价的具体数值。

三、部署与预警机制

该部署方式分为SaaS云端和本地私有化这两类, 其中SaaS云端具备开通后即可使用的特点, 这种模式比较适合中小规模的团队使用；另一方面, 本地私有化部署能够确保数据不流出企业自身拥有的网络范围, 因此它更适合那些对安全级别要求非常高的金融以及政务等场景。

预警这个机制它是采用了分级响应的这样一种设计形式的, 具体来说, 对于P0这个紧急级别来说, 也就是指的是域名被转出了, 或者是DNS被劫持了这样一些情况的话, 它会去使用短信以及电话这两个通道来进行双通道的发送, 并且会在1分钟之内的时间做到触达, 而对于P1这个重要级别来说, 它对应的是到期前7天如果没有去续期, 或者是注册人发生了变更这样的状况, 那么它将会通过邮件以及站内信这2种方式在2小时之内的时间里完成触达操作, 最后, 对于P2这个提醒级别来讲, 它通常涉及的是新注册了相似域名的场景或者是解析进行了微调的情况, 这类信息是以日报汇总这样的形式进行呈现的, 让用户可以在次日的时间内去进行查看。

四、典型应用场景

某家比较大的电商企业, 把自己备案了的那个叫gname.xin的域名的相关信息, 同步到了监控平台里面。结果系统在过了第4天之后, 自己主动抓到了它那个主要域名的Nameserver被没有授权的人给改了这件事儿。

这事儿立马触发了P0级告警信号。IT团队只用了11分钟的时间, 就把情况给回滚回去了。就这么着, 它们避免了品牌官网被劫持去变成那种钓鱼页面出现的可怕后果。

五、落地建议

1. 建立域名资产台账, 把全部在管域名, 包含备用域名和国际化域名在内, 都纳入到监控的范围里去。

2. 我们来设定一个品牌关键词库, 而这个库里头会涵盖像英文缩写这样的东西, 还有数字变体, 以及谐音词, 这样做的目的是为了对侵权抢注进行监测活动。

3. 每一个季度都要去进行一次那个DNS异常切换流程的演练, 通过这个演练来验证预警链路是不是有效的。

4. 我们要把监控告警纳入到企业的IT安全事件响应SOP中去, 明确责任人是谁, 并且确定好升级路径。

域名监控预警系统是保障域名资产安全的底线设施, 它并不是那种可以锦上添花、作为可选工具来使用的东西。我们建议在当域名的管理数量超过了50个这个数值的时候, 就应该立即启动系统级监控, 以此来替代人工进行巡检的这个工作。